配置ISE為PassiveID會話分配Trustsec安全組標籤

下載選項

PDF (1.5 MB)
在多種裝置上使用 Adobe Reader 檢視
ePub (1.1 MB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
Mobi (Kindle) (1.3 MB)
在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視

已更新: 2026 年 9 月 18 日

文件 ID:218315

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文檔介紹如何通過ISE 3.2中的授權策略配置安全組標籤(SGT)並將其分配給被動ID會話。

必要條件

需求

思科建議您瞭解以下主題：

Cisco ISE 3.2
被動ID、TrustSec和PxGrid

採用元件

本文中的資訊係根據以下軟體和硬體版本：

Cisco ISE 3.2
FMC 7.0.1
運行16.12.1的WS-C3850-24P

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

思科身份服務引擎(ISE)3.2是支援此功能的最低版本。本文檔不包括PassiveID、PxGrid和SXP配置。有關相關資訊，請參閱管理員指南。

在ISE 3.1或更舊版本中，安全組標籤(SGT)只能分配給Radius會話或主動身份驗證（例如802.1x和MAB）。在ISE 3.2中，我們可以為PassiveID會話配置授權策略，以便當身份服務引擎(ISE)從提供商(例如Active Directory域控制器(AD DC)WMI或AD代理)接收使用者登入事件時，它基於使用者Active Directory(AD)組成員身份向PassiveID會話分配安全組標籤(SGT)。PassiveID的IP-SGT對映和AD組詳細資訊可以通過SGT交換協定(SXP)發佈到TrustSec域和/或發佈到Platform Exchange Grid(pxGrid)使用者，例如Cisco Firepower管理中心(FMC)和Cisco Secure Network Analytics(Stealthwatch)。

設定

流程圖

PassiveID TrustSec SGT Assignment Flow 流程圖

組態

啟用授權流：

導航到Active Directory > Advanced Settings > PassiveID Settings覈取方塊並Authorization Flow選中覈取方塊，以便為PassiveID登入使用者配置授權策略。預設情況下，此選項處於禁用狀態。

PassiveID Authorization Flow Setting 啟用授權流

附註：要使用此功能，請確保在部署中運行PassiveID、PxGrid和SXP服務。您可以在以下位置驗證這一點 Administration > System > Deployment.

策略集配置：

為PassiveID建立單獨的策略集（推薦）。
對於Conditions，請使用屬性PassiveID·PassiveID_Provider 並選擇您的提供商型別。

PassiveID Authorization Condition 策略集

為步驟1中建立的策略集配置授權規則。

為每個規則建立一個條件，並基於AD組、使用者名稱或兩者使用PassiveID字典。
為每個規則分配Security Group Tag並儲存配置。

PassiveID Authorization Policy for SGT Assignment 授權策略

附註：身份驗證策略不相關，因為它未在此流中使用。

附註：可以使用或PassiveID_Username, PassiveID_Groups,屬PassiveID_Provider性來建立授權規則。

4.導航到Work Centers > TrustSec > Settings > SXP Settings以啟用Publish SXP bindings on pxGrid和Add RADIUS and PassiveID Mappings into SXP IP SGT Mapping Table與PxGrid使用者共用PassiveID對映，並將它們包含在ISE上的SXP對映表中。

Publishing SXP Bindings over PxGrid SXP設定